Tehdit modelleme: STRIDE ve veri akış diyagramı
Bir sistemi kod yazılmadan önce saldırgan gözüyle çizer, STRIDE ile tehditleri bulur ve her biri için uygulanabilir önlemleri önceliklendirirsin.
Seviye 201 · 18 ders · 15 pratik lab
Dersler
Temeller
- Tehdit modelleme nedir, ne zaman yapılır
- Dört soru: ne yapıyoruz, ne ters gidebilir, ne yapacağız, iyi iş çıkardık mı
- Varlıklar, saldırganlar ve giriş noktaları
- Kısa görev: bir e-ticaret sitesinin varlıklarını ve saldırganlarını listele
Veri akış diyagramı
- Diyagramın öğeleri: süreç, veri deposu, dış varlık, akış
- Güven sınırlarını çizmek
- Diyagramı araçla çizmek: OWASP Threat Dragon
- Ayrıntı düzeyi: bağlam diyagramından alt süreçlere
- Kısa görev: bir parola sıfırlama özelliğinin diyagramını çiz
STRIDE
- Kimlik taklidi ve kurcalama
- İnkâr ve bilgi ifşası
- Hizmet engelleme ve yetki yükseltme
- Öğe başına STRIDE: hangi tehdit nereye uyar
- Kısa görev: diyagramındaki her akış için STRIDE tablosu doldur
Önlem ve takip
- Yanıt seçmek: kaldır, azalt, devret, kabul et
- Tehditleri basitçe puanlamak
- Tehditleri iş kaydına dönüştürmek ve izlemek
- Bitirme görevi: bir mobil bankacılık API’sinin tehdit modelini çıkar
Pratik lablar
- Bir e-ticaret sitesinin varlıklarını ve saldırganlarını listele: Korunacak beş varlığı ve bunlara ilgi duyabilecek üç saldırgan türünü yaz.
- Sistemin giriş noktalarını çıkar: Turnalı Perakende’nin sipariş sisteminde dışarıdan veri alan tüm noktaları bul ve hangi varlığa uzandığını göster.
- Dört soruyu küçük bir özelliğe baştan sona uygula: Hediye çeki özelliği için ne yaptığımızı, neyin ters gidebileceğini, ne yapacağımızı ve yeterince iyi yapıp yapmadığımızı bir sayfada yanıtla.
- Diyagram öğelerini doğru türle etiketle: Verilen çizimde süreçleri, veri depolarını, dış varlıkları ve akışları işaretle.
- Parola sıfırlama özelliğinin veri akış diyagramını çiz: Kullanıcı, uygulama, e-posta servisi ve veritabanı arasındaki akışları çiz ve güven sınırlarını ekle.
- Bağlam diyagramını alt süreçlere ayır ve Threat Dragon’da kaydet: Tek kutuluk ödeme sistemini üç alt sürece böl, her güven sınırı geçişini işaretle ve modeli araçta dosya olarak sakla.
- Örnek tehditleri STRIDE sınıflarına yerleştir: On iki tehdit cümlesini kimlik taklidi, kurcalama, inkâr, bilgi ifşası, hizmet engelleme ve yetki yükseltme başlıklarına dağıt.
- Diyagramındaki her akış için STRIDE tablosu doldur: Parola sıfırlama diyagramının her öğesi için uygun tehdit sınıflarını ve somut bir örneği yaz.
- Öğe başına STRIDE ile gözden kaçan tehdidi bul: Hazır bir tehdit listesini öğe türü ile tehdit sınıfı eşlemesine göre denetle ve eksik kalan üç tehdidi gerekçesiyle ekle.
- Her tehdit için bir yanıt türü seç: Sekiz tehdidi kaldır, azalt, devret ya da kabul et olarak işaretle.
- Tehditleri basit bir ölçekle puanla ve sırala: On tehdide olasılık ve etki puanı ver, sıralamayı çıkar ve ilk üçün önlemini yaz.
- Tehditleri iş kaydına dönüştür ve izlenebilir kıl: Her önlem için kabul ölçütü olan bir iş kaydı yaz, tehdit ile kayıt arasındaki bağı tabloda göster ve doğrulama yöntemini belirt.
- Mobil bankacılık API’sinin varlıklarını ve güven sınırlarını belirle: Verilen mimari notundan beş varlığı ve üç güven sınırını çıkar.
- Para transferi akışı için tehdit listesini çıkar: Transfer isteğinin geçtiği her öğe için STRIDE ile en az bir tehdit yaz.
- Mobil bankacılık API’sinin tehdit modelini tamamla: Yelkovan Bankası’nın API’si için diyagram, tehdit tablosu, puanlama ve önlem listesini tek belgede topla ve en riskli üç tehdidi yönetime özetle.
Kurs hakkında
Bir sistemi kod yazılmadan önce saldırgan gözüyle çizer, STRIDE ile tehditleri bulur ve her biri için uygulanabilir önlemleri önceliklendirirsin.
Ne öğreneceksin
- Temeller
- Veri akış diyagramı
- STRIDE
- Önlem ve takip
Ön koşullar
Aynı yolun 101 düzeyindeki kurslarını bitirmiş olmak ya da o konuları biliyor olmak yeterlidir.
Lab ortamı
Dersler, tarayıcında açılan sana özel bir Kali Linux terminalinde geçer. Kurulum gerekmez; lab her derste temiz başlar.
Sık sorulan sorular
- Bu kurs benim düzeyime uygun mu?
- Kurs 201 düzeyindedir; daha düşük düzeydeki kursların konularını bildiğin varsayılır.
- Kurulum gerekir mi?
- Hayır. Her ders tarayıcında açılan sana özel bir lab ortamında geçer.
- Dersler nasıl işleniyor?
- Her ders 8 ile 10 adımdan ve bir kısa sınavdan oluşur. İlk adımlarda yazman gereken komut gösterilir, sonraki adımlarda yardım azalır; iki denemede takılırsan çözüm açılır.
- Ücretsiz deneyebilir miyim?
- Evet. Her kursun ilk üç dersi ücretsizdir.